步骤 2：为用户身份验证创建流式传输 URL - 亚马逊 WorkSpaces 应用程序
使用自定义域的配置要求

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

步骤 2：为用户身份验证创建流式传输 URL

您必须创建一个直播 URL 才能对嵌入式 WorkSpaces 应用程序流式传输会话的用户进行身份验证。嵌入式流式传输会话目前不支持 SAML 2.0 和用户池。要创建流式传输 URL，请使用以下其中一种方法：

使用自定义域的配置要求

无论您是使用自定义域名来应用您的公司品牌，还是为了确保嵌入式 WorkSpaces 应用程序流式传输会话与阻止第三方 Cookie 的浏览器配合使用，配置要求都是一样的。

对于阻止第三方 Cookie 的 Web 浏览器，需要自定义域。 WorkSpaces 应用程序使用浏览器 Cookie 对流媒体会话进行身份验证，并允许用户重新连接到活动会话，而无需每次都被提示提供登录凭据。默认情况下， WorkSpaces 应用程序流式传输 URLs 包含appstream.com为域。当您在网站中嵌入流式传输会话时，系统会将 appstream.com 视为第三方域。因此，当使用默认阻止第三方 Cookie 的现代浏览器时，可能会阻止流式传输会话。

为避免在这种情况下阻止嵌入式 WorkSpaces 应用程序流式传输会话，请执行以下步骤：

  1. 指定一个自定义域来托管您的嵌入式 WorkSpaces 应用程序流式传输会话。

    配置自定义域名时，请确保该域名是您计划在其中嵌入 WorkSpaces 应用程序的网页的子域名。例如，如果更新堆栈以便将 training.example.com 指定为主机域，则可以为嵌入式流式传输会话创建一个名为 content.training.example.com 的子域。

  2. 为使用相同自定义子域的嵌入式 WorkSpaces 应用程序流式传输会话创建直播 URL。要创建直播网址，请使用 CreateStreamingURL API 操作或 create-streaming-url AWS CLI 命令。在这种情况下，您无法使用 WorkSpaces 应用程序控制台创建直播 URL。

    要为嵌入式 WorkSpaces 应用程序流式传输会话创建流式传输 URL，请在 URL 中appstream2.region.aws.amazon.com替换为您自己的域。

    默认情况下， WorkSpaces 应用程序流媒体的格式 URLs 如下：

    https://appstream2.region.aws.amazon.com/authenticate?parameters=authenticationcode

    如果您的子域为 content.training.example.com，则新的流式传输 URL 将遵循以下格式：

    https://content.training.example.com/authenticate?parameters=authenticationcode
    注意

    创建自定义域时，只能在配置该域的 AWS 区域中使用该域进行嵌入式 WorkSpaces 应用程序流式传输会话。如果您计划在多个区域中支持自定义域，请为每个适用区域创建一个自定义域。此外，仅支持 HTTPS [TCP 端口 443] 上的嵌入式流式传输会话。

  3. 将 appstream-custom-url-domain 添加到将托管嵌入式流式传输会话的网页标头中。对于标头值，请使用您的反向代理向用户显示的域。例如：

    Header name: appstream-custom-url-domain
Header value: training.example.com

    通过设置自定义域并创建指定同一域的流式传输 URL，可以将 Cookie 保存为第一方 Cookie。有关如何使用 Amazon 配置自定义域的信息 CloudFront，请参阅在 WorkSpaces 应用程序中使用自定义域。

为嵌入式 WorkSpaces 应用程序流式传输会话设置自定义域名后，如果您的直播 URLs 没有重定向到您的自定义域，或者您的自定义域名无法正确显示给您的用户，请参阅以下疑难解答主题：